Aufgrund einer Sicherheitslücke in der Firmware von Coldcard-Wallets sind Schäden in Höhe von 114 Milliarden Won (etwa 85 Millionen Euro) entstanden... Die Grenzen von Airgap-Wallets

Airgap-Wallets sind nicht-verwahrte Hardware-Wallets, die physisch von allen drahtlosen Kommunikationsmitteln, einschließlich Wi-Fi, Bluetooth und NFC, sowie vom Internet getrennt sind. Ihr größter Vorteil ist, dass der private Schlüssel nicht in einer Online-Umgebung gespeichert wird, wodurch die Angriffsfläche für Malware oder Remote-Hacking-Angriffe extrem gering ist. Zu den bekanntesten Herstellern gehören ELLIPAL, Keystone und Foundation Devices (Passport), die auf QR-Codes basieren, sowie Blockstream (Jade) und CoinKite, die Coldcards herstellen. Im Gegensatz dazu sind Ledger und Trezor nicht im engeren Sinne Airgap-Wallets, da sie über USB oder Bluetooth verbunden werden. Die Coldcard, die 2017 auf den Markt kam, unterstützt Offline-Signaturen über eine MicroSD-Karte und einen QR-Code und gilt seit langem als eines der sichersten Produkte unter den Bitcoin-Hardware-Wallets. Im Juli 2026 gab jedoch der Hersteller CoinKite bekannt, dass aufgrund eines Firmware-Fehlers, der im März 2021 eingeführt wurde, einige Coldcard-Geräte Seed-Phrasen in einem deutlich kleineren Pool generiert haben, als ursprünglich vorgesehen. Dies bedeutet, dass die für den Schutz des privaten Schlüssels erforderliche Zufälligkeit erheblich reduziert wurde, wodurch es für Angreifer einfacher wird, den privaten Schlüssel mithilfe von KI oder spezieller Software zu erraten. Galaxy Research analysierte, dass diese Coldcard-Schwachstelle in mehreren Phasen ausgenutzt wurde. Die beobachteten Verluste beliefen sich zunächst auf etwa 8,8 Millionen US-Dollar, stiegen aber innerhalb weniger Tage auf fast 114 Millionen US-Dollar an Bitcoin-Verlusten. Obwohl viele Coldcard-Nutzer nach den Warnungen der Forscher ihre Bitcoins von den anfälligen Adressen auf neue Adressen verlagert haben, besteht weiterhin die Sorge, dass weitere anfällige Adressen zum Ziel werden könnten. Dieser Vorfall unterstreicht eher die inhärenten Risiken der Lieferkette, die mit Hardware-Wallets verbunden sind, als die Grenzen der Airgap-Methode selbst. Selbst wenn eine Wallet nicht mit dem Internet verbunden ist, muss der Nutzer letztendlich dem Hersteller vertrauen, wenn es um die Qualität der Firmware, die Zufallszahlengenerierung und die Softwareentwicklungspraktiken geht. Der Airgap ist zwar eine wichtige Schutzschicht, aber er garantiert nicht, dass das Gerät vollständig frei von Schwachstellen ist. Sicherheitsexperten betonen immer wieder, dass Krypto-Besitzer Single Points of Failure vermeiden sollten, d.h. ihre Vermögenswerte nicht an einem einzigen Ort aufbewahren sollten. Darüber hinaus sollten sie die grundlegenden Prinzipien befolgen, die darin bestehen, Seed-Phrasen sicher aufzubewahren, Transaktionen vor der Signierung immer zu überprüfen und auf die Sicherheit der physischen Geräte zu achten.